System CSAL ochroni przed nieautoryzowanymi próbami logowania

System CSAL chroni użytkowników, wykrywając nieautoryzowane logowania bez ujawniania danych platformom internetowym.

Obecnie każdy ślad cyfrowy staje się potencjalnym narzędziem do profilowania użytkowników, znalezienie równowagi między bezpieczeństwem, a prywatnością staje się jednym z największych wyzwań współczesnego internetu. Ataki hakerskie, przejęcia kont i nadużycia danych zdarzają się coraz częściej, a dotychczasowe mechanizmy wykrywania nieautoryzowanych logowań okazują się niewystarczające. Z tego powodu badacze z Cornell Tech opracowali system Client-Side Encrypted Access Logging (CSAL), który pozwala użytkownikom weryfikować próby logowania bez konieczności ujawniania swoich danych urządzeniowych platformom takim jak Google, Facebook, czy inne globalne serwisy.

Tradycyjnie dostawcy usług internetowych polegają na informacjach takich jak adres IP, identyfikator urządzenia czy lokalizacja geograficzna. Problem polega na tym, że tego rodzaju dane są niezwykle łatwe do sfałszowania. Cyberprzestępcy wykorzystują techniki maskowania, by podszywać się pod prawowitych użytkowników. W efekcie właściciel konta często nawet nie zdaje sobie sprawy, że jego dane są narażone. W 2021 roku Facebook przyznał, że w wyniku wycieku API wykradziono dane setek milionów użytkowników, a wykrycie naruszeń było opóźnione m.in. przez zawodną analizę logów.

Rozwiązanie badaczy z Cornell Tech idzie w zupełnie innym kierunku. CSAL wykorzystuje mechanizmy szyfrowania end-to-end, dzięki czemu informacje o urządzeniu, z którego dokonano logowania, nie trafiają wprost do serwisu. Zamiast tego generowany jest unikatowy token kryptograficzny, który można później odszyfrować jedynie na urządzeniu użytkownika.

W praktyce oznacza to, że platforma może przechowywać zapis logowania, ale nie jest w stanie na jego podstawie profilować użytkownika ani gromadzić dodatkowych danych. Co istotne, taki model szczególnie chroni osoby narażone na celowe ataki: aktywistów, polityków, dziennikarzy czy ofiary przemocy domowej, dla których kontrola nad dostępem do konta bywa kwestią bezpieczeństwa życia.

Problem bezpieczeństwa i prywatności w sieci nie dotyczy tylko Stanów Zjednoczonych. W Europie od lat toczy się debata o tym, jak pogodzić prawo do prywatności (RODO) z koniecznością zapewnienia ochrony przed cyberatakami. Przykładem jest projekt Digital Services Act, który narzuca platformom obowiązek większej transparentności wobec użytkowników. Jednak nawet najbardziej restrykcyjne przepisy nie zastąpią narzędzi technologicznych, które pozwalają użytkownikom na realną kontrolę nad swoimi danymi.

Z kolei w 2022 roku Google ogłosił wdrożenie „Enhanced Safe Browsing” w Chrome, rozwiązania, które pozwala szybciej wykrywać podejrzane logowania i phishing, ale odbywa się to kosztem przekazywania dużej ilości metadanych do serwerów firmy. CSAL proponuje coś zupełnie przeciwnego – maksymalne ograniczenie zaufania do pośredników i wzmocnienie roli samego użytkownika.

Rozwój takich technologii jak CSAL wpisuje się w szerszy trend budowania „internetu bez śledzenia”. Coraz więcej ekspertów podkreśla, że ochrona danych nie powinna stać się dodatkiem, a fundamentem usług cyfrowych. Widać to choćby w sukcesie aplikacji komunikacyjnych jak Signal czy ProtonMail, które zdobyły popularność dzięki przejrzystym zasadom szyfrowania.

Jeżeli rozwiązania takie jak CSAL zostaną wdrożone przez największe platformy, może to zmienić reguły gry – użytkownicy zyskają realny wgląd w bezpieczeństwo swoich kont bez konieczności oddawania prywatności w ręce korporacji. Dla świata, w którym coraz częściej mówi się o nadzorze cyfrowym, to kierunek mogący przywrócić równowagę między wolnością jednostki a koniecznością ochrony przed zagrożeniami.

Historia internetu pokazuje, że każda nowa warstwa ochrony danych wywołuje falę dyskusji o kompromisach między prywatnością, a bezpieczeństwem. CSAL udowadnia, że być może kompromis wcale nie jest konieczny, że można stworzyć rozwiązanie, które pozwala wykrywać próby włamań, a jednocześnie nie zamienia użytkownika w obiekt permanentnej inwigilacji.

Szymon Ślubowski